CVE-2026-84458 in Zammad
Résumé
par VulDB • 25/09/2026
Zammad est un système d'aide à la clientèle / support client open source basé sur le web. Avant la version 7.1.2, lorsque le paramètre « Liaison automatique du compte lors de la première connexion » (Automatic account link on initial logon) est activé, Zammad lie une identité tierce entrante (SSO) à un compte local existant en correspondant l'adresse e-mail indiquée par le fournisseur d'identité, sans vérifier que ce dernier a effectivement confirmé la propriété de cette adresse. Un attaquant qui contrôle n'importe quelle identité chez un fournisseur configuré, y compris, par défaut, tout locataire Azure AD via l'enregistrement d'applications multi-locataires Microsoft 365 /common de Zammad, peut définir l'e-mail de cette identité sur l'adresse d'une victime, s'authentifier et se connecter en tant que la victime. Cela contourne entièrement le mot de passe local de la victime et affecte n'importe quel compte existant, y compris les agents et les administrateurs. Zammad prendra en compte la revendication (claim) xms_edov du jeton ID lorsque la vérification de l'e-mail est requise dans les paramètres Microsoft 365, considérant une absence de cette revendication comme non vérifiée. Ce problème est corrigé dans la version 7.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.